ISO/IEC 27001:2022

ISO/IEC 27001

ISO/IEC 27001 표준의 개요부터 핵심 개념, 정보보호 관리체계(ISMS)의 필요성, 요구사항 구조, 관계와 흐름, 정보보호 위험을 평가하고 처리하는 방식, 주요 관련 표준과의 관계까지 차례로 소개합니다.

규제 유형

표준

소관

국제표준화기구

구성

ISO/IEC 27001이란?

ISO/IEC 27001은 정보보호를 개별 보안 조치가 아니라 조직의 경영 활동 안에서 지속적으로 관리할 수 있게 하는 국제표준입니다.

문서 개요

정식 명칭	ISO/IEC 27001:2022 — Information security, cybersecurity and privacy protection — Information security management systems — Requirements
문서 지위	IS(정식 국제표준)
주요 대상	()를 수립하여 운영하려는 다양한 조직
적용 범위	()의 수립부터 운영, 개선에 이르는 전 과정과 의 평가·처리를 다루며, 적용 대상에 별도의 제한을 두지 않습니다.
목적	조직이 를 일회성 대응이 아닌 지속적인 관리 활동으로 운영하고, 변화하는 에 맞춰 를 계속 보완할 수 있도록 기준을 제공하는 것을 목적으로 합니다.

ISO/IEC 27001의 핵심 개념

ISO/IEC 27001의 요구사항은 정보보호 관리체계(ISMS)와 위험관리라는 기본 틀을 중심으로 구성됩니다. 여기에서 다루는 핵심 개념은 이후 요구사항과 위험평가·위험처리를 설명하는 바탕이 됩니다.

Information Security Management System

조직이 를 업무 전반에 반영하고 지속적으로 관리하기 위한 체계입니다. 에 따라 필요한 보호조치를 운영하며, 점검 결과와 변화된 상황을 반영해 관리 방식을 계속 개선합니다.

Information Security Risk

정보의 ··이 훼손될 수 있는

정보가 허가되지 않은 대상에게 공개되거나, 내용이 변조되거나, 필요할 때 사용할 수 없게 되는 등 상태가 훼손될 수 있는 을 뜻합니다.

Control

를 위한 보호 조치

에 대응하기 위해 조직이 적용하는 관리방법이나 보호 조치입니다. 부속서 A의 93개 를 모두 일률적으로 적용하는 것은 아니며, 조직의 에 따라 필요한 를 정해 적용합니다.

적용성 선언서SoA(Statement of Applicability)

를 적용한 내역과 근거를 정리한 문서

조직이 에 대응하기 위해 필요한 를 정리하고, 각 를 선정한 근거와 실제 적용 상태를 기록한 문서입니다. 부속서 A에 제시된 를 적용하지 않기로 한 경우, 그 이유를 함께 기록합니다.

Top Management

의 방향과 책임을 이끄는 경영 주체

조직의 경영을 총괄하며 주요 의사결정을 책임지는 개인 또는 경영진을 의미합니다. 조직의 가 일관된 방향으로 운영되고 지속적으로 유지될 수 있도록 이끄는 역할을 맡습니다.

Interested Party

와 관련된 요구를 가진 조직 안팎의 주체

조직의 의사결정이나 활동에 영향을 주고받는 개인 또는 조직을 의미합니다. 실제 영향이 발생하지 않았더라도 스스로 영향을 받는 관계에 있다고 인식하는 경우 역시 포함됩니다.

정보보호 관리체계(ISMS)의 필요성

조직은 업무와 서비스를 운영하는데 필요한 다양한 정보를 다룹니다. 이러한 정보가 허가되지 않은 대상에게 노출되거나, 잘못 변경되거나, 필요한 순간에 사용할 수 없게 되면, 조직의 업무와 서비스에 영향을 줄 수 있습니다. 따라서 문제가 생길 때마다 따로 대응하기보다, 조직 차원에서 일관되게 정보보호를 지속적으로 관리할 수 있는 체계가 필요합니다.

상황

조직은 업무 수행과 서비스 운영에 중요한 가치가 있는 정보를 다루고 있으며, 이러한 정보는 보호가 필요합니다.

문제

그러나 이러한 정보가 제대로 보호되지 않으면 다음과 같은 문제가 발생할 수 있습니다.

정보의 노출

주요 정보의 무단 유출 또는 노출은 조직과 에게 손실을 초래할 수 있습니다.

정보의 잘못된 변경·훼손

정보의 정확성이 훼손되면 정보의 신뢰성과 업무 처리에 영향을 줄 수 있습니다.

정보 이용 불가

필요한 정보나 시스템을 사용할 수 없으면 업무나 서비스에 영향을 줄 수 있습니다.

필요

따라서 문제가 생길 때마다 따로 대응하기보다, 조직 차원에서 를 지속적으로 관리할 수 있는 체계가 필요합니다.

ISO/IEC 27001

정보보호에 영향을 주는 환경과 위험은 시간에 따라 달라질 수 있으므로, 조직이 위험과 대응을 지속적으로 점검하고 관리체계를 보완할 수 있도록 기준을 제공합니다.

ISO/IEC 27001의 요구사항 구조

ISO/IEC 27001은 정보보호 관리체계(ISMS)를 구성하고 운영하기 위해 고려해야 할 요구사항을 7개의 파트에 나누어 담고 있으며, 위험 처리에 활용할 93개의 정보보호 대응 방안을 부속서 A에 네 영역으로 정리해 두고 있습니다. 조직은 자신의 상황과 정보보호 위험을 고려해 필요한 관리 방안을 실제 운영에 반영합니다.

본문

조직의 상황

조직의 상황과 의 요구를 반영해 적용 범위를 정합니다.

리더십

이 방침을 세우고 역할별 책임을 배정합니다.

계획

을 평가하고 대응 방법을 결정합니다.

지원

운영에 필요한 자원··문서를 확보합니다.

운영

계획한 활동을 실제 업무에서 이행합니다.

성과 평가

운영 결과를 ··검토합니다.

개선

발견된 문제의 원인을 없애고 를 계속 개선합니다.

부속서 A 대응 방안93개 · 4개 영역

A.5 · 조직적

조직 운영·관리 방안

37개

조직 차원의 운영과 관리 방안

A.6 · 인적

구성원·역할 수행 방안

8개

구성원과 역할 수행 과정에서 필요한 방안

A.7 · 물리적

물리적 환경 보호 방안

14개

시설과 장비 등 물리적 환경을 보호하는 방안

A.8 · 기술적

기술 환경 보호 방안

34개

시스템과 서비스 등 기술 환경을 보호하는 방안

93개 를 모두 적용하는 것이 아니라, 처리 결과 필요한 를 정한 뒤 부속서 A와 대조해 빠진 것이 없는지 확인하고, 적용하지 않는 는 그 이유를 적용성 선언서(SoA)에 문서화합니다.

ISO/IEC 27001 요구사항의 관계와 흐름

ISO/IEC 27001의 각 파트는 정보보호 관리체계(ISMS)를 준비하고 운영하며 점검·개선하는 과정에서 서로 맞물려 운영됩니다. 이 과정에서 필요한 정보와 수행 결과는 문서화하여 관리해야 합니다.

도식의 파트를 선택하면 파트의 역할이 표시됩니다.

※ ISO/IEC 27001은 갖추어야 할 만 안내하는 표준입니다. ※ 의 구체적인 구현 방법은 ISO/IEC 27002, 방법은 ISO/IEC 27005를 참조합니다. ※ 준비·실행·점검·수정의 네 단계와 화살표는 이 표준의 구조를 이해하기 쉽게 표현한 것으로, 표준이 정한 명칭이나 고정된 수행 순서를 의미하지 않습니다.

조직이 정보보호 위험을 평가하고 처리하는 방식

ISO/IEC 27001은 모든 조직이 같은 보안 대책을 적용하는 방식이 아닙니다. 각 조직은 자신이 처한 업무 환경과 정보보호 위험을 고려해 대응이 필요한 위험을 판단하고, 필요한 통제를 정하고 부속서 A와 대조해 실제 업무에 적용해야 합니다. 아래 도식은 이러한 위험평가와 위험처리의 관계를 정리한 것입니다.

1단계

기준 마련

조직은 을 일관된 기준으로 판단할 수 있도록, 받아들일 수 있는 의 수준과 평가 기준을 정합니다. 기준을 먼저 정해두어 반복해서 평가하더라도 결과들을 일관되게 비교하고 판단할 수 있도록 합니다.

2단계

평가

조직은 와 관련된 을 확인하고, 이 실제로 발생했을 때의 영향과 발생 을 바탕으로 을 판단합니다. 이후 평가 결과를 앞 단계에서 마련한 기준과 비교하여 대응이 필요한 의 우선순위를 정합니다.

3단계

처리

결과를 바탕으로 에 대응할 방법을 정하고, 그 대응에 필요한 를 결정합니다. 결정한 들을 부속서 A와 비교해 필요한 가 빠지지 않았는지 확인합니다.

4단계

기록과 승인

조직은 필요한 와 그 선정 근거, 적용 여부를 적용성 선언서에 정리하고 처리 계획을 수립합니다. 이후 해당 의 책임자가 계획을 승인하고, 처리 이후 남은 을 받아들일 수 있는지 확인합니다.

5단계

실행과 기록

수립한 처리 계획에 따라 필요한 대응을 실제로 실행하고, 와 결과를 기록합니다. 상태는 정해진 주기마다 확인하고, 중요한 변화가 생기면 다시 평가하여 이후 조치에 반영합니다.

재평가

정기적 또는 중요 변화 시 재평가

정해진 주기가 되거나 조직·환경에 중요한 변화가 생기면 1단계로 돌아가 을 다시 평가하고 처리합니다.

ISO/IEC 27001과 주요 관련 표준

ISO/IEC 27000 시리즈는 정보보호 관리체계(ISMS)를 이해하고 운영하는 데 필요한 여러 표준으로 구성되어 있습니다. 아래 도식은 ISO/IEC 27001을 이해하는 데 도움이 되도록 주요 관련 표준이 다루는 내용을 정리한 것이며, 표준 간의 상하관계를 나타내는 도식은 아닙니다.

그림에서 상자를 누르면 설명이 여기 나옵니다.

참고

제·개정 이력

2005-10-14

발행

2013-09-25

개정

2014-09-18

정정

2015-11-12

정정

2022-10-25

개정

2024-02-23

개정

규제별 요약

구성